Trojan.BankBot.652

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\3noy7U0ImI4] 'ImagePath' = '<DRIVERS>\vI6hvXdRAAdL.sys'
[HKLM\System\CurrentControlSet\Services\3Leoz8kvCvxTn] 'ImagePath' = '<DRIVERS>\bUKoaJRnvoV4.fpg'
[HKLM\System\CurrentControlSet\Services\gc8cphKYY0] 'ImagePath' = '<SYSTEM32>\SfKEDVef2U0.sys'
[HKLM\System\CurrentControlSet\Services\06GcANWy3rWKYS] 'ImagePath' = '<SYSTEM32>\7aBaU6tKKvW4.uwh'
[HKLM\System\CurrentControlSet\Services\xP99OugaUvdWMJ] 'ImagePath' = '%WINDIR%\BgjReIr1GCLY1e.sys'
[HKLM\System\CurrentControlSet\Services\9GI0Er1] 'ImagePath' = '<DRIVERS>\Fxwv87T.sys'
[HKLM\System\CurrentControlSet\Services\gxVjNbNhsboAYC] 'ImagePath' = '<DRIVERS>\njQ8tc6ONZod.sys'

Создает следующие сервисы

'3noy7U0ImI4' <DRIVERS>\vI6hvXdRAAdL.sys
'3Leoz8kvCvxTn' <DRIVERS>\bUKoaJRnvoV4.fpg
'gc8cphKYY0' <SYSTEM32>\SfKEDVef2U0.sys
'06GcANWy3rWKYS' <SYSTEM32>\7aBaU6tKKvW4.uwh
'xP99OugaUvdWMJ' %WINDIR%\BgjReIr1GCLY1e.sys
'9GI0Er1' <DRIVERS>\Fxwv87T.sys
'gxVjNbNhsboAYC' <DRIVERS>\njQ8tc6ONZod.sys

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe
<SYSTEM32>\wbem\wmiprvse.exe

следующие пользовательские процессы:

iexplore.exe
firefox.exe

Перехватывает функции

в браузерах

Процесс firefox.exe, модуль mswsock.dll
Процесс firefox.exe, модуль nss3.dll
Процесс firefox.exe, модуль wininet.dll

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\syswow64\drivers\vi6hvxdraadl.sys
%WINDIR%\syswow64\drivers\bukoajrnvov4.fpg
%WINDIR%\syswow64\sfkedvef2u0.sys
%WINDIR%\syswow64\7abau6tkkvw4.uwh
%WINDIR%\bgjreir1gcly1e.sys
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\su0djto.cat
<DRIVERS>\fxwv87t.sys
<DRIVERS>\njq8tc6onzod.sys
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\1f6dfd.cat
%ProgramFiles%\windows defender\manifest.json
%ProgramFiles%\windows defender\2b14c8.js
%ProgramFiles%\windows defender\35d9fa.html
%ProgramFiles%\windows defender\409f2c.js
%ProgramFiles%\windows defender\lib\4b645e.js
%WINDIR%\68658\csrss.exe

Удаляет следующие файлы

%WINDIR%\syswow64\drivers\vi6hvxdraadl.sys
%WINDIR%\syswow64\drivers\bukoajrnvov4.fpg
%WINDIR%\syswow64\sfkedvef2u0.sys
%WINDIR%\syswow64\7abau6tkkvw4.uwh
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\1f6dfd.cat

Самоудаляется.

Сетевая активность

Подключается к

'dn#.#lidns.com':443
'dn#.#lidns.com':80
'xc#.#cslw.top':80
'xc#.#cslw.top':443
'ap##.#ame.qq.com':80
'sp#.#aidu.com':80
'oc##.##ust-provider.cn':80

TCP

Запросы HTTP GET

http://dn#.#lidns.com/resolve?na#######################
http://nr#.#cslw.top/report/report_data?da#######################################################################################################################################################...
http://xc#.#cslw.top/cfg/cmc/slfdm.txt
http://xc#.#cslw.top/cfg/cmc/qzpass.txt
http://xc#.#cslw.top/cfg/cmc/b2.txt
http://oc##.##ust-provider.cn/MFEwTzBNMEswSTAJBgUrDgMCGgUABBTRK6%2BKMEm7xEAA7oRlXypSzGx%2FAgQUyPPFCRszol%2BmEquQ1gC2XPyNHAYCEFjJ5Z0VGk%2Fu62Kowy9UMAQ%3D
http://xc#.#cslw.top/pgm/mds/b3abb02528414f5a/6188d79c9fc7cdae7c70c674799b20d564.zip
http://dn#.#lidns.com/resolve?na###################
http://xc#.#cslw.top/cfg/cmc/wea.txt
http://dn#.#lidns.com/resolve?na########################
http://dn#.#lidns.com/resolve?na######################
http://xc#.#cslw.top/pgm/mds/422ed73a26bc994c/a46c24a265a3bec7ba11a948e142f17e7791d60165ab87c464.zip
http://22#.5.5.5/resolve?na######################
http://dn#.#lidns.com/resolve?na####################
http://xc#.#cslw.top/cfg/cmc/sfbd.txt
http://xc#.#cslw.top/cfg/cmc/ppmldb
http://xc#.#cslw.top/cfg/cmc/ggtbd.txt
http://xc#.#cslw.top/pgm/mds/71600c65a728333a/c57d344613ba8549426e5dbea86f249c6c935a8eac4509a264.zip
http://xc#.#cslw.top/cfg/cmc/blacklist.txt
http://xc#.#cslw.top/pgm/mpr/c995ec7fd4f57c0d/e691ad375852f8cd.zip
http://xc#.#cslw.top/cfg/cmc/ping.txt
http://xc#.#cslw.top/cfg/cmc/userchange.txt
http://xc#.#cslw.top/cfg/cmc/userpq.zip
http://ap##.#ame.qq.com/comm-htdocs/ip/get_ip.php
http://sp#.#aidu.com/8aQDcjqpAAV3otqbppnN2DJv/api.php?qu###############################################################
http://xc#.#cslw.top/cfg/user/c995ec7fd4f57c0d/e691ad375852f8cd.json
http://xc#.#cslw.top/pgm/mds/62761afc2f0d796a/a4fa2c8d00fc0abae2e3db6296e78091112c7b6cfbdbf26a64.zip
http://xc#.#cslw.top/cfg/pub/ms.json
http://xc#.#cslw.top/cfg/pub/ps.json
http://xc#.#cslw.top/pgm/mds/186dc678628340ee/219c906140f2c06be2e3db6296e78091a34c8da1c928895b64.zip
http://xc#.#cslw.top/pgm/mds/05631e93ccdb00ee/30c2c1ba061aa1809f21fb4a972cbdfa82fef5749d6ae20b64.zip
http://xc#.#cslw.top/pgm/mds/865609897d54b79b/2941c6fd79a2ce56956a762d12611c165dead495d4d0833864.zip
http://xc#.#cslw.top/pgm/mds/8a535297eaa802d1/17d0ec639db40991bbe7c285bb4fe48e0f26e9808f1e227964.zip
http://xc#.#cslw.top/pgm/mds/a78ecda18e438473/49e1ec46b8e1374f99cc864009781c3d56877b12ce5518a964.zip
http://xc#.#cslw.top/cfg/cmc/chct.txt

Другие

'dn#.#lidns.com':443
'xc#.#cslw.top':443

UDP

DNS ASK xc#.#ycsl.top
DNS ASK dn#.#lidns.com
DNS ASK xc#.#cslw.top
DNS ASK ap##.#ame.qq.com
DNS ASK sp#.#aidu.com
DNS ASK oc##.##ust-provider.cn
'23#.2.2.2':18804
'23#.#23.112.211':51701

Другое

Добавляет корневой сертификат

Создает и запускает на исполнение

'%WINDIR%\68658\csrss.exe'

Запускает на исполнение

'<SYSTEM32>\wbem\wmiprvse.exe'
'%WINDIR%\syswow64\cmd.exe' /c timeout /t 1 & del /Q /F "<Полный путь к файлу>" (со скрытым окном)
'%WINDIR%\syswow64\timeout.exe' /t 1